Vertrouwelijkheidslabels toewijzen aan Microsoft 365-groepen in Microsoft Entra-id

Microsoft Entra ID ondersteunt het toepassen van vertrouwelijkheidslabels op Microsoft 365-groepen wanneer deze labels worden gepubliceerd in de Microsoft Purview-portal of de Microsoft Purview-nalevingsportal en de labels zijn geconfigureerd voor groepen en sites.

Vertrouwelijkheidslabels kunnen worden toegepast op groepen in apps en services zoals Outlook, Microsoft Teams en SharePoint. Zie Ondersteuning voor vertrouwelijkheidslabels in de Purview-documentatie voor meer informatie.

Belangrijk

Als u deze functie wilt configureren, moet er ten minste één actieve Microsoft Entra ID P1-licentie zijn in uw Microsoft Entra-organisatie.

De ondersteuning voor vertrouwelijkheidslabels inschakelen in PowerShell

Als u gepubliceerde labels wilt toepassen op groepen, dan moet u eerst de functie inschakelen. Met deze stappen schakelt u de functie in Microsoft Entra ID in. De Microsoft Graph PowerShell SDK bestaat uit twee modules en Microsoft.Graph Microsoft.Graph.Beta.

Alle door Microsoft beheerde regio's moeten Microsoft kiezen. Alle andere regio's moeten hun operator kiezen, indien hieronder vermeld.

Microsoft

1. Open een PowerShell-prompt op uw computer en voer de volgende opdrachten uit om de cmdlets voor te bereiden.

   Install-Module Microsoft.Graph -Scope CurrentUser
   Install-Module Microsoft.Graph.Beta -Scope CurrentUser
   

2. Maak verbinding met uw tenant.

   Connect-MgGraph -Scopes "Directory.ReadWrite.All"
   

3. Haal de huidige groepsinstellingen voor de Microsoft Entra-organisatie op en geef de huidige groepsinstellingen weer.

   $grpUnifiedSetting = Get-MgBetaDirectorySetting -Search DisplayName:"Group.Unified"
   

   Als er geen groepsinstellingen zijn gemaakt voor deze Microsoft Entra-organisatie, krijgt u een leeg scherm. In dit geval moet u eerst deze instellingen maken. Volg de stappen in Microsoft Entra-cmdlets voor het configureren van groepsinstellingen voor het maken van groepsinstellingen voor deze Microsoft Entra-organisatie.

   Notitie

   Als het vertrouwelijkheidslabel eerder is ingeschakeld, ziet EnableMIPLabels = Trueu . In dit geval hoeft u niets te doen. Zorg er ook voor dat als u niet wilt dat EnableGroupCreation = False gebruikers die geen beheerder zijn, groepen kunnen maken. Zie sjablooninstellingen voor meer informatie.

4. Pas de nieuwe instellingen toe.

   $params = @{
        Values = @(
    	    @{
    		    Name = "EnableMIPLabels"
    		    Value = "True"
    	    }
        )
   }
   
   Update-MgBetaDirectorySetting -DirectorySettingId $grpUnifiedSetting.Id -BodyParameter $params
   

5. Controleer of de nieuwe waarde aanwezig is.

   $Setting = Get-MgBetaDirectorySetting -DirectorySettingId $grpUnifiedSetting.Id
   $Setting.Values
   

Als er een Request_BadRequest fout optreedt, komt dit doordat de instellingen al in de tenant aanwezig zijn. Wanneer u een nieuw property:value paar probeert te maken, is het resultaat een fout. Voer in dit geval de volgende stappen uit:

1. Geef een Get-MgBetaDirectorySetting | FL cmdlet uit en controleer dan de id. Als er verschillende id-waarden aanwezig zijn, gebruikt u de id waar u de EnableMIPLabels eigenschap in de instellingen voor waarden ziet.
2. Geef de Update-MgBetaDirectorySetting cmdlet uit met behulp van de id die u hebt opgehaald.

U moet uw vertrouwelijkheidslabels ook synchroniseren met Microsoft Entra-id. Zie Vertrouwelijkheidslabels inschakelen voor containers en labels synchroniseren voor instructies.

21Vianet

Als u deze M365-bewerkingen uitvoert vanuit 21Vianet:

1. Registreer een Microsoft Entra ID-toepassing in Microsoft Entra ID.

2. Verdeel uw toepassings-API-machtigingen voor toegang tot Microsoft Graph, waaronder Directory.ReadWriteAll en Group.ReadWriteAll, mogelijk moet u de expliciete toestemming van de tenantbeheerder krijgen om de toepassing toegang te verlenen tot Microsft Graph.

3. Genereer een clientgeheim en kopieer het. U hebt het clientgeheim nodig om verbinding te maken met MS Graph;

4. Voer PowerShell uit als beheerder:

   $ClientSecretCredential = Get-Credential -Credential
   

   Nadat opdrachten zijn uitgevoerd, wordt u gevraagd een wachtwoord in te voeren. Het wachtwoord is het nieuwe clientgeheim dat u in een eerdere stap hebt gekopieerd.

5. Voer de volgende opdracht uit om toegang te krijgen tot MS Graph:

   Connect-MgGraph -TenantId "Current tenant id" - ClientSecretCredential $ClientSecretCredential -Environment China
   

6. Haal de huidige groepsinstellingen voor de Microsoft Entra-organisatie op en geef de huidige groepsinstellingen weer.

   $grpUnifiedSetting = Get-MgBetaDirectorySetting -Search DisplayName:"Group.Unified"
   

   Als er geen groepsinstellingen zijn gemaakt voor deze Microsoft Entra-organisatie, krijgt u een leeg scherm. In dit geval moet u eerst deze instellingen maken. Volg de stappen in Microsoft Entra-cmdlets voor het configureren van groepsinstellingen voor het maken van groepsinstellingen voor deze Microsoft Entra-organisatie.

   Notitie

   Als het vertrouwelijkheidslabel eerder is ingeschakeld, ziet EnableMIPLabels = Trueu . In dit geval hoeft u niets te doen. Zorg er ook voor dat als u niet wilt dat EnableGroupCreation = False gebruikers die geen beheerder zijn, groepen kunnen maken. Zie sjablooninstellingen voor meer informatie.

7. Pas de nieuwe instellingen toe.

   $params = @{
        Values = @(
    	    @{
    		    Name = "EnableMIPLabels"
    		    Value = "True"
    	    }
        )
   }
   
   Update-MgBetaDirectorySetting -DirectorySettingId $grpUnifiedSetting.Id -BodyParameter $params
   

8. Controleer of de nieuwe waarde aanwezig is.

   $Setting = Get-MgBetaDirectorySetting -DirectorySettingId $grpUnifiedSetting.Id
   $Setting.Values
   

Als er een Request_BadRequest fout optreedt, komt dit doordat de instellingen al in de tenant aanwezig zijn. Wanneer u een nieuw property:value paar probeert te maken, is het resultaat een fout. Voer in dit geval de volgende stappen uit:

1. Geef een Get-MgBetaDirectorySetting | FL cmdlet uit en controleer dan de id. Als er verschillende id-waarden aanwezig zijn, gebruikt u de id waar u de EnableMIPLabels eigenschap in de instellingen voor waarden ziet.
2. Geef de Update-MgBetaDirectorySetting cmdlet uit met behulp van de id die u hebt opgehaald.

U moet uw vertrouwelijkheidslabels ook synchroniseren met Microsoft Entra-id. Zie Vertrouwelijkheidslabels inschakelen voor containers en labels synchroniseren voor instructies.

Een label toewijzen aan een nieuwe groep in het Microsoft Entra-beheercentrum

1. Meld u als groepsbeheerder aan bij het Microsoft Entra-beheercentrum.

2. Selecteer Microsoft Entra ID.

3. Selecteer Groepen>alle groepen>nieuwe groep.

4. Selecteer Microsoft 365 op de pagina Nieuwe groep. Vul vervolgens de vereiste gegevens voor de nieuwe groep in en selecteer een vertrouwelijkheidslabel in de lijst.

   

5. Selecteer Maken om uw wijzigingen op te slaan.

Uw groep wordt gemaakt en de site- en groepsinstellingen die aan het geselecteerde label zijn gekoppeld, worden daarna automatisch afgedwongen.

Een label toewijzen aan een bestaande groep in het Microsoft Entra-beheercentrum

1. Meld u als groepsbeheerder aan bij het Microsoft Entra-beheercentrum.

2. Selecteer Microsoft Entra ID.

3. Selecteer Groepen.

4. Selecteer op de pagina Alle groepen de specifieke groep die u wilt labelen.

5. Selecteer Eigenschappen op de pagina van de geselecteerde groep en selecteer een vertrouwelijkheidslabel in de lijst.

   

6. Selecteer Opslaan om uw wijzigingen op te slaan.

Een label verwijderen uit een bestaande groep in het Microsoft Entra-beheercentrum

1. Meld u als groepsbeheerder aan bij het Microsoft Entra-beheercentrum.
2. Selecteer Microsoft Entra ID.
3. Selecteer Groepen>Alle groepen.
4. Selecteer op de pagina Alle groepen de groep waaruit u het label wilt verwijderen.
5. Selecteer de Eigenschappen op de pagina Groep.
6. Selecteer Verwijderen.
7. Selecteer Opslaan om uw wijzigingen toe te passen.

Klassieke Microsoft Entra-classificaties gebruiken

Nadat u deze functie hebt ingeschakeld, worden de klassieke classificaties voor groepen alleen weergegeven op bestaande groepen en sites. U moet deze alleen gebruiken voor nieuwe groepen als u groepen maakt in apps die geen ondersteuning bieden voor vertrouwelijkheidslabels. Uw beheerder kan ze later converteren naar vertrouwelijkheidslabels, indien nodig. De klassieke classificaties zijn de oude classificaties die u instelt door waarden te definiëren voor de ClassificationList instelling in Azure AD PowerShell. Wanneer deze functie is ingeschakeld, worden deze classificaties niet toegepast op groepen.

Notitie

Azure AD- en MSOnline PowerShell-modules zijn vanaf 30 maart 2024 afgeschaft. Lees de afschaffingsupdate voor meer informatie. Na deze datum is ondersteuning voor deze modules beperkt tot migratieondersteuning voor Microsoft Graph PowerShell SDK en beveiligingsoplossingen. De afgeschafte modules blijven functioneren tot en met 30 maart 2025.

Het is raadzaam om te migreren naar Microsoft Graph PowerShell om te communiceren met Microsoft Entra ID (voorheen Azure AD). Raadpleeg de veelgestelde vragen over migratie voor veelgestelde vragen over migratie. Opmerking: versies 1.0.x van MSOnline kunnen na 30 juni 2024 onderbrekingen ondervinden.

Problemen oplossen

Deze sectie bevat tips voor het oplossen van veelvoorkomende problemen.

Vertrouwelijkheidslabels zijn niet beschikbaar voor toewijzing in een groep

De optie vertrouwelijkheidslabel wordt alleen weergegeven voor groepen wanneer aan alle volgende voorwaarden wordt voldaan:

1. De organisatie heeft een actieve Licentie voor Microsoft Entra ID P1.
2. De functie is ingeschakeld en EnableMIPLabels is ingesteld op True in de Microsoft Graph PowerShell-module.
3. De vertrouwelijkheidslabels worden gepubliceerd in de Microsoft Purview-portal of de Microsoft Purview-nalevingsportal voor deze Microsoft Entra-organisatie.
4. Labels worden gesynchroniseerd met Microsoft Entra-id met de Execute-AzureAdLabelSync cmdlet in de PowerShell-module Security & Compliance. Het kan tot 24 uur na de synchronisatie duren voordat het label beschikbaar is voor Microsoft Entra ID.
5. Het bereik van het vertrouwelijkheidslabel moet worden geconfigureerd voor groepen en sites.
6. Deze groep is een Microsoft 365-groep.
7. De huidige aangemelde gebruiker:
   1. Heeft voldoende bevoegdheden om vertrouwelijkheidslabels toe te wijzen. De gebruiker moet de groepseigenaar of ten minste een groepsbeheerder zijn.
   2. Moet binnen het bereik van het publicatiebeleid voor vertrouwelijkheidslabels vallen.

Zorg ervoor dat aan alle voorgaande voorwaarden wordt voldaan om labels toe te wijzen aan een groep.

Het label dat u wilt toewijzen, staat niet in de lijst

Als het label dat u zoekt niet in de lijst staat:

• Het label wordt mogelijk niet gepubliceerd in de Microsoft Purview-portal of de Microsoft Purview-nalevingsportal. Het label kan ook niet meer worden gepubliceerd. Neem contact op met uw beheerder voor meer informatie.
• Het label kan worden gepubliceerd, maar is niet beschikbaar voor de gebruiker die is aangemeld. Neem contact op met uw beheerder voor meer informatie over het verkrijgen van toegang tot het label.

Het label in een groep wijzigen

Labels kunnen op elk gewenst moment worden gewisseld met dezelfde stappen als het toewijzen van een label aan een bestaande groep:

1. Meld u als groepsbeheerder aan bij het Microsoft Entra-beheercentrum.
2. Selecteer Microsoft Entra ID.
3. Selecteer Groepen>alle groepen en selecteer vervolgens de groep die u wilt labelen.
4. Selecteer Eigenschappen op de pagina van de geselecteerde groep en selecteer een nieuw vertrouwelijkheidslabel in de lijst.
5. Selecteer Opslaan.

De wijzigingen in de groepsinstelling voor gepubliceerde labels worden niet bijgewerkt in de groepen

Wanneer u wijzigingen aanbrengt in groepsinstellingen voor een gepubliceerd label in de Microsoft Purview-portal of de Microsoft Purview-nalevingsportal, worden deze beleidswijzigingen niet automatisch toegepast op de gelabelde groepen. Nadat het vertrouwelijkheidslabel is gepubliceerd en toegepast op groepen, raadt Microsoft u aan de groepsinstellingen voor het label in de portal niet te wijzigen.

Als u een wijziging moet aanbrengen, gebruikt u een PowerShell-script om handmatig updates toe te passen op de betrokken groepen. Deze methode zorgt dat alle bestaande groepen de nieuwe instelling afdwingen.

Volgende stappen

• Vertrouwelijkheidslabels gebruiken om inhoud in Microsoft Teams, Microsoft 365-groepen en SharePoint-sites te beveiligen
• Groepen bijwerken na het handmatig wijzigen van labelbeleid met Azure AD PowerShell-script
• Instellingen van uw groep bewerken
• Groepen met behulp van PowerShell-opdrachten beheren